Panoramica dell'autenticazione IdP esterna

La nuova UI Edge e l'API di gestione Edge funzionano effettuando richieste al server di gestione Edge, che supporta i seguenti tipi di autenticazione:

  • Autenticazione di base: accedi alla nuova UI Edge o effettua richieste all'API di gestione Edge passando il nome utente e la password.
  • OAuth2 / OIDC: scambia le credenziali di autenticazione di base di Edge con un token di accesso OAuth2 e un token di aggiornamento. Effettua chiamate all'API di gestione Edge passando il token di accesso OAuth2 nell'intestazione Bearer di una chiamata API.

Edge supporta l'utilizzo dei seguenti provider di identità esterni (IDP) per l'autenticazione:

  • SAML (Security Assertion Markup Language) 2.0: genera token di accesso OAuth dalle asserzioni SAML restituite da un provider di identità SAML.
  • LDAP (Lightweight Directory Access Protocol): utilizza i metodi di autenticazione di ricerca e binding per generare token di accesso OAuth.

Sia gli IDP SAML sia LDAP supportano un ambiente Single Sign-On (SSO). Utilizzando un IDP esterno con Edge, puoi supportare SSO per la nuova UI Edge e l'API, oltre a tutti gli altri servizi che fornisci e che supportano anche il tuo IDP esterno.

Informazioni sulla nuova struttura SSO Apigee

A partire da Edge per Private Cloud 4.54.00, il componente apigee-sso legacy è stato sostituito da un broker di identità OpenID Connect (OIDC) modernizzato e leggero chiamato Dex. Questo adattatore SSO è integrato direttamente nel ciclo di vita del componente apigee-openldap, eliminando la necessità di installare un modulo apigee-sso separato.

Poiché SSO Apigee (broker Dex) è incluso in apigee-openldap, viene eseguito il deployment sugli stessi nodi delle istanze OpenLDAP. La gestione del ciclo di vita viene gestita in modo nativo tramite azioni OPDK come apigee-service apigee-openldap start_sso e stop_sso.

La porta 9099 deve essere aperta sul nodo apigee-openldap per supportare l'accesso ad Apigee SSO da un browser, dall'IDP SAML o LDAP esterno e dal server di gestione e dalla nuova UI Edge. Durante la configurazione di SSO Apigee, puoi specificare se la connessione esterna utilizza HTTP o il protocollo HTTPS crittografato.

SSO Apigee è un servizio stateless che utilizza un database Postgres (apigee_dex) accessibile sulla porta 5432 sul nodo Postgres per rendere persistente lo stato OAuth2 su più nodi, garantendo l'alta affidabilità. In genere, puoi utilizzare lo stesso server Postgres installato con Edge, un server Postgres autonomo o due server Postgres configurati in modalità master/standby. Se il carico sul server Postgres è elevato, puoi anche scegliere di creare un nodo Postgres separato solo per il database SSO.

Supporto per OpenID Connect (OIDC) standard

L'implementazione di SAML e LDAP di Edge si basa su token di accesso OpenID Connect (OIDC) e OAuth2 standard. SSO Apigee modernizzato emette token rigorosamente conformi a OIDC (utilizzando attestazioni standard come email e sub, nonché token di aggiornamento opachi). Per saperne di più, consulta Introduzione a OAuth 2.0.

Informazioni su SAML

L'autenticazione SAML offre diversi vantaggi. Utilizzando SAML puoi:

  • Assumere il controllo completo della gestione degli utenti. Quando gli utenti lasciano la tua organizzazione e viene eseguito il deprovisioning centralizzato, viene negato automaticamente l'accesso a Edge.
  • Controllare la modalità di autenticazione degli utenti per accedere a Edge. Puoi scegliere diversi tipi di autenticazione per diverse organizzazioni Edge.
  • Controllare le policy di autenticazione. Il tuo provider SAML potrebbe supportare policy di autenticazione più in linea con gli standard aziendali.
  • Puoi monitorare accessi, uscite, tentativi di accesso non riusciti e attività ad alto rischio nel tuo deployment di Edge.

Con SAML abilitato, l'accesso alla nuova UI Edge e all'API di gestione Edge utilizza i token di accesso OAuth2. Questi token vengono generati da SSO Apigee, che accetta le asserzioni SAML restituite da tuo IDP.

Informazioni su LDAP

LDAP (Lightweight Directory Access Protocol) è un protocollo applicativo aperto e standard di settore per accedere e gestire i servizi di informazioni sulle directory distribuite. I servizi di directory possono fornire qualsiasi insieme organizzato di record, spesso con una struttura gerarchica, ad esempio una directory email aziendale.

L'autenticazione LDAP nella nuova SSO Apigee utilizza il connettore LDAP integrato. Il connettore esegue ricerche LDAP per organizationalRole e attributi standard (come mail e uid) per mappare in modo nativo gli utenti legacy di Apigee alle rivendicazioni OIDC standard.

LDAP con Edge per Private Cloud supporta i metodi di autenticazione standard di ricerca e binding su un server compatibile con LDAP.

SSO Apigee recupera l'indirizzo email dell'utente e le attestazioni OIDC standard (ad esempio email, preferred_username, e groups) e aggiorna il record utente interno in modo che sia presente un indirizzo email corrente nel file, poiché Edge utilizza questa email per scopi di autorizzazione.

URL della nuova UI Edge e dell'API

L'URL che utilizzi per accedere alla nuova UI Edge e all'API di gestione Edge è lo stesso utilizzato prima di abilitare SAML o LDAP. Per la nuova UI Edge:

http://edge_UI_IP_DNS:3001

Dove edge_UI_IP_DNS è l'indirizzo IP o il nome DNS della macchina che ospita la nuova UI Edge. Durante la configurazione della nuova UI Edge, puoi specificare che la connessione utilizzi HTTP o il protocollo HTTPS criptato.

Per l'API di gestione Edge:

http://ms_IP_DNS:8080/v1

Dove ms_IP_DNS è l'indirizzo IP o il nome DNS del server di gestione. Durante la configurazione dell'API, puoi specificare che la connessione utilizzi HTTP o il protocollo HTTPS criptato.

Configurare TLS con la nuova SSO Apigee

Per impostazione predefinita, la connessione a SSO Apigee utilizza HTTP sulla porta 9099 sul nodo che ospita apigee-openldap. Il broker di identità leggero basato su Go gestisce in modo nativo le richieste HTTP e HTTPS.

SSO Apigee supporta tre modalità di connessione:

  • DEFAULT: la configurazione predefinita supporta le richieste HTTP sulla porta 9099.
  • SSL_TERMINATION: abilita l'accesso TLS ad Apigee SSO sulla porta di tua scelta. Per questa modalità devi specificare una chiave e un certificato TLS.
  • SSL_PROXY: configura SSO Apigee in modalità proxy, il che significa che hai installato un bilanciatore del carico davanti al componente e hai terminato TLS sul bilanciatore del carico. Puoi specificare la porta utilizzata su SSO Apigee per le richieste dal bilanciatore del carico.